Data Discovery & Classificazione in Azure Synapse Analytics

Data Discovery & classificazione è integrata nei pool SQL dedicati di Azure Synapse Analytics. Fornisce capacità per scoprire, classificare, etichettare e segnalare dati sensibili nei tuoi database.

Data Discovery & Classification non è supportata per pool SQL serverless.

I dati più sensibili possono includere informazioni aziendali, finanziarie, sanitarie o personali. Può fungere da infrastruttura per:

  • Rispetta gli standard di privacy dei dati e i requisiti di conformità normativa.
  • Supportare scenari di sicurezza, come il monitoraggio (audit) dell'accesso a dati sensibili.
  • Controlla l'accesso e rafforza la sicurezza dei database che contengono dati altamente sensibili.

Informazioni sull’individuazione e classificazione dei dati

L'individuazione e la classificazione dei dati supporta attualmente le seguenti funzionalità:

  • Individuazione e consigli: il motore di classificazione esegue l'analisi del database, identificando le colonne contenenti dati potenzialmente sensibili. Offre quindi un modo semplice per rivedere e applicare i consigli di classificazione tramite il portale di Azure.

  • Etichettatura: Puoi applicare etichette di classificazione di sensibilità in modo persistente alle colonne utilizzando attributi di metadati nel motore del database. Questi metadati possono quindi essere utilizzati per scenari di verifica basati sulla sensibilità.

  • Riservatezza del set di risultati della query: la riservatezza di un set di risultati della query viene calcolata in tempo reale a scopo di controllo.

  • Visibilità: è possibile visualizzare lo stato di classificazione del database in un dashboard dettagliato, nel portale di Azure. È inoltre possibile scaricare un report in formato Excel da usare a scopo di conformità e controllo o per altre esigenze.

Individuare e classificare le colonne sensibili e assegnare loro un'etichetta

In questa sezione vengono descritte le seguenti fasi:

  • Individuazione, classificazione ed etichettatura di colonne che contengono dati sensibili nel database.
  • Visualizzazione dello stato di classificazione corrente del database ed esportazione di report.

La classificazione include due attributi di metadati:

  • Etichette: gli attributi di classificazione principali, usati per definire il livello di riservatezza dei dati archiviati nella colonna.
  • Tipi di informazioni: attributi che forniscono informazioni maggiormente granulari sul tipo di dati archiviati nella colonna.

Criteri di protezione delle informazioni

Azure Synapse Analytics utilizza la policy SQL Information Protection per la classificazione dei dati.

Criteri di protezione delle informazioni SQL

Data Discovery & Classification comprende un insieme integrato di etichette di sensibilità e tipi di informazioni con logica di discovery che funziona nativamente con il server logico SQL. Usa le etichette di protezione disponibili nel file di policy predefinito, oppure personalizza questa tassonomia. Definisci un insieme e una gerarchia di costrutti di classificazione specifici per il tuo ambiente.

Definire e personalizzare la tassonomia di classificazione

Definisci e personalizza la tua tassonomia di classificazione in un unico punto centrale per l'intera tua organizzazione Azure. Usa Microsoft Defender per il cloud, come parte della tua politica di sicurezza. Solo qualcuno con diritti amministrativi nel gruppo di gestione root dell'organizzazione può completare questo compito.

Nell'ambito della gestione dei criteri, è possibile definire etichette personalizzate, classificarle e associarle a un set selezionato di tipi di informazioni. È anche possibile aggiungere tipi di informazioni personalizzati e configurarli con modelli di stringa. I modelli vengono aggiunti automaticamente alla logica di individuazione per identificare questo tipo di dati nei database.

Per ulteriori informazioni, vedere Personalizzare i criteri di protezione delle informazioni SQL in Microsoft Defender per il cloud (anteprima).

Dopo aver definito la policy a livello organizzativo, continua a classificare i database individuali utilizzando la tua policy personalizzata.

Classificare il database in modalità Criteri di protezione delle informazioni in SQL

Note

Il seguente esempio utilizza database SQL di Azure, ma dovresti selezionare il prodotto appropriato che vuoi usare per configurare Data Discovery & Classification.

  1. Accedi al portale di Azure.

  2. Passare a Individuazione e classificazione dei dati sotto l'intestazione Sicurezza nel riquadro Database SQL di Azure. La scheda Panoramica include un riassunto dello stato attuale della classificazione del database. Il riassunto include un elenco dettagliato di tutte le colonne classificate, che puoi filtrare per mostrare solo parti specifiche dello schema, tipi di informazioni ed etichette. Se non hai ancora classificato nessuna colonna, vai al passo 4.

  3. Per scaricare un report in formato Excel, selezionare Esporta dal menu superiore del riquadro.

  4. Per iniziare a classificare i dati, selezionare la scheda Classificazione nella pagina Individuazione e classificazione dei dati.

    Il motore di classificazione esegue l'analisi del database per identificare eventuali colonne contenenti dati potenzialmente sensibili e fornisce un elenco di classificazioni di colonna consigliate.

  5. Visualizzare e applicare i suggerimenti di classificazione:

    • Per visualizzare l'elenco delle classificazioni di colonna consigliate, fare clic sul pannello dei suggerimenti nella parte inferiore del riquadro:

    • Per accettare un consiglio per una colonna specifica, selezionare la casella di controllo nella colonna sinistra della riga pertinente. Per contrassegnare tutti i consigli come accettati selezionare la casella di controllo nell'intestazione della tabella dei consigli.

    • Per applicare i consigli selezionati, selezionare Accetta i consigli selezionati.

    Note

    Il motore dei suggerimenti, che esegue l'individuazione automatica dei dati e fornisce consigli sulle colonne sensibili, è disabilitato quando viene usata la modalità criterio di Microsoft Purview Information Protection.

  6. È anche possibile classificare manualmente le colonne in alternativa o in aggiunta alla classificazione basata sui consigli:

    1. Nel menu superiore del riquadro fare clic su Aggiungi classificazione.

    2. Nella finestra contestuale che si apre selezionare lo schema, la tabella e la colonna che si vuole classificare, nonché il tipo di informazioni e l'etichetta di riservatezza.

    3. Scegliere Aggiungi classificazione nella parte inferiore della finestra di contesto.

  7. Per completare la classificazione e assegnare etichette (tag) in modo permanente alle colonne del database con i nuovi metadati di classificazione, selezionare Aggiungi classificazione nella pagina Classificazione.

Politica di Protezione delle Informazioni di Microsoft Purview

Note

Microsoft Information Protection (MIP) è ora Microsoft Purview Information Protection. Sia "MIP" che "Microsoft Purview Information Protection" si riferiscono allo stesso concetto.

Le etichette Microsoft Purview Information Protection offrono un modo semplice e uniforme per gli utenti di classificare i dati sensibili tra diverse applicazioni Microsoft. Crea e gestisci etichette di sensibilità MIP nel portale di conformità di Microsoft Purview. Per informazioni su come creare e pubblicare etichette di riservatezza MIP nel Portale di conformità di Microsoft Purview, vedere l'articolo Creare e pubblicare etichette di riservatezza.

Prerequisiti per passare ai criteri di Microsoft Purview Information Protection

  • Impostare o modificare la politica di protezione delle informazioni imposta la politica di protezione delle informazioni per tutti i database del tenant. Devi avere il permesso Security Admin a livello di tenant per cambiare la information protection policy da SQL Information Protection policy a MIP policy, o viceversa.

  • Un utente o persona con il permesso di Security Admin a livello di tenant può applicare la policy a livello di gruppo di gestione radice del tenant. Per altre informazioni, vedere Concedere autorizzazioni a livello di tenant a sé stessi.

  • Il tenant dispone di un abbonamento a Microsoft 365 attivo e sono state pubblicate etichette per l'utente corrente. Per ulteriori informazioni, vedere Creare e configurare le etichette di riservatezza e i criteri.

Classificare il database nella modalità politica di Microsoft Purview Information Protection

  1. Accedi al portale di Azure.
  2. Naviga al tuo database in Azure.
  3. Passare a Individuazione e classificazione dei dati sotto l'intestazione Sicurezza nel riquadro Database.
  4. Per selezionare i Criteri di Microsoft Information Protection, selezionare la scheda Panoramica, quindi Configura.
  5. Selezionare Criteri di Microsoft Information Protection nelle opzioni dei Criteri di Information Protection e selezionare Salva.
  6. Se vai nella scheda Classificazione o seleziona Aggiungi classificazione, vedrai le etichette di sensibilità di Microsoft 365 apparire nella lista a tendina delle etichette di sensibilità.
  • Il tipo di informazioni è [n/a] mentre si è in modalità Criteri MIP e l'individuazione automatica dei dati e le raccomandazioni rimangono disabilitate.
  • Un'icona di avviso potrebbe comparire contro una colonna già classificata se la colonna è classificata utilizzando una politica di Information Protection diversa da quella attualmente attiva. Ad esempio, se la colonna era classificata usando un'etichetta con policy SQL Information Protection e ora sei in modalità policy Microsoft Information Protection, vedi un'icona di avviso contro quella colonna specifica. L'icona di avviso è informativa e non indica un problema.

Criteri di Microsoft Purview Information Protection per database SQL di Azure

Importante

Le policy di Microsoft Purview Information Protection per database SQL di Azure sono state ritirate. Non è più possibile configurare o applicare il controllo degli accessi su colonne sensibili tramite le policy di accesso Microsoft Purview Information Protection (MIP), e le policy di accesso esistenti configurate tramite questa funzionalità non vengono più applicate.

In precedenza, database SQL di Azure supportava l'applicazione del controllo di accesso su colonne etichettate con le etichette di sensibilità di Microsoft Purview Information Protection utilizzando le politiche di accesso di Purview.

Le politiche di protezione di Microsoft Purview che controllano l'accesso tramite etichette di sensibilità sono ancora disponibili in Microsoft Fabric. Per maggiori informazioni, consulta le politiche di protezione in Microsoft Fabric.

Controllo dell'accesso ai dati sensibili

Un aspetto importante della classificazione è la capacità di monitorare l'accesso ai dati sensibili. Azure Synapse Analytics Auditing include un campo nel registro di audit chiamato data_sensitivity_information. Questo campo registra le classificazioni di sensibilità (etichette) dei dati che una query restituisce.

Queste attività T-SQL sono auditabili con informazioni di sensibilità:

  • ALTER TABLE ... DROP COLUMN
  • BULK INSERT
  • SELECT
  • DELETE
  • INSERT
  • MERGE
  • UPDATE
  • UPDATETEXT
  • WRITETEXT
  • DROP TABLE
  • BACKUP
  • DBCC CloneDatabase
  • SELECT INTO
  • INSERT INTO EXEC
  • TRUNCATE TABLE
  • DBCC SHOW_STATISTICS
  • sys.dm_db_stats_histogram

Usare sys.fn_get_audit_file per restituire informazioni da un file di controllo archiviato in un account di archiviazione di Azure.

Permissions

Questi ruoli predefiniti possono leggere la classificazione dei dati del database:

  • Proprietario
  • Lettore
  • Contributor
  • Manager sicurezza SQL
  • Amministratore dell'accesso degli utenti

Per leggere la classificazione dei dati di un database, hai bisogno di queste azioni:

  • Microsoft.Sql/servers/databases/currentSensitivityLabels/*
  • Microsoft.Sql/servers/databases/recommendedSensitivityLabels/*
  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

I seguenti ruoli predefiniti possono modificare la classificazione dei dati di un database:

  • Proprietario
  • Contributor
  • Manager sicurezza SQL

Per modificare la classificazione dei dati di un database, è necessaria questa azione:

  • Microsoft.Sql/servers/databases/schemas/tables/columns/sensitivityLabels/*

Altre informazioni sulle autorizzazioni basate sui ruoli in Azure RBAC.

Note

I ruoli integrati di Azure SQL in questa sezione si applicano a un pool SQL dedicato (precedentemente SQL DW) ma non sono disponibili per pool SQL dedicati e altre risorse SQL all'interno degli spazi di lavoro di Azure Synapse. Per le risorse SQL negli spazi di lavoro Azure Synapse, usa le azioni disponibili per la classificazione dei dati per creare ruoli Azure personalizzati secondo necessità per l'etichettatura. Per altre informazioni sulle operazioni del provider Microsoft.Synapse/workspaces/sqlPools vedere Microsoft.Synapse.

Gestire le classificazioni

È possibile usare T-SQL, un'API REST o PowerShell per gestire le classificazioni.

Usare T-SQL

È possibile usare T-SQL per aggiungere o rimuovere classificazioni di colonna, nonché recuperare tutte le classificazioni per l'intero database.

Note

Quando usi T-SQL per gestire le etichette, non esiste alcuna verifica che le etichette aggiunte a una colonna esistano nella politica di protezione delle informazioni dell'organizzazione (l'insieme di etichette che appaiono nelle raccomandazioni del portale). Devi validare.

Per informazioni sull'uso di T-SQL per le classificazioni, vedere i seguenti riferimenti:

Usare i cmdlet di PowerShell

Gestisci classificazioni e raccomandazioni per database SQL di Azure e Istanza gestita di SQL di Azure utilizzando PowerShell.

cmdlet di PowerShell per database SQL di Azure

Usare l'API REST

È anche possibile usare l'API REST per gestire le classificazioni e raccomandazioni a livello di codice. L'API REST pubblicata supporta le operazioni seguenti:

Recuperare i metadati di classificazione usando i driver SQL

È possibile usare i seguenti driver SQL per recuperare i metadati di classificazione:

Domande frequenti: funzionalità di classificazione avanzate

Domanda: Microsoft Purview sostituirà SQL Data Discovery & Classification oppure SQL Data Discovery & Classification andrà presto in pensione? Risposta: continuiamo a supportare la funzionalità di individuazione e classificazione dei dati in SQL e invitiamo gli utenti a usare Microsoft Purview che offre maggiori funzionalità per eseguire una classificazione avanzata e la governance dei dati. Se decidiamo di ritirare qualsiasi servizio, funzionalità, API o SKU, ricevete un avviso anticipato che include un percorso di migrazione o transizione. Per altre informazioni, vedere i criteri relativi al ciclo di vita Microsoft.

Contenuti correlati

  • Ultimo aggiornamento: